错误源于winload.exe数字签名失效，需重建bcd引导链并替换/修复该文件；uefi模式须关闭secure boot和启用csm，bios模式可手动替换winload.exe或用dism修复。
Win10开机时蓝屏报错“0xc0000428 winload.exe无法验证此文件的数字签名”，说明系统在启动早期就拒绝加载核心引导文件，不是驱动问题而是BOOTMGR或BCD配置异常——此时禁用驱动签名毫无作用，必须重建引导链并替换或修复winload.exe本身。
确认错误源头是winload.exe而非第三方驱动
蓝屏画面最下方一定显示了完整文件路径。如果路径含 \system32\winload.exe（传统BIOS）或 \efi\microsoft\boot\winload.efi（UEFI），就属于引导文件签名失效；若路径含 \system32\drivers\xxx.sys，则应走驱动签名处理流程，本方案不适用。
记下该路径，后续所有操作都以此为依据。路径里带“winload”三个字，才继续往下做。
用Windows安装U盘启动并重建BCD引导项
第一步：制作一个与当前系统版本一致的Windows 10安装U盘（建议使用微软官方Media Creation Tool生成）；
第二步：插入U盘→重启电脑→按F12/F10/ESC（依主板而定）进入启动设备选择菜单→选中U盘启动；
第三步：进入安装界面后，不点“现在安装”，而是按 Shift + F10 调出命令提示符；
第四步：依次执行以下命令（每行回车一次）：
bcdboot C:Windows /s S: /f UEFI
（若你的系统盘不是C:，请替换成实际盘符；若为传统BIOS模式，最后加 /f BIOS）
第五步：执行完成后关闭命令提示符→点击左上角×退出安装界面→拔掉U盘→重启电脑。
这一步会重新生成干净的BCD存储和引导配置，覆盖被篡改或损坏的旧引导项。若原系统盘未损坏，通常能直接恢复启动。
手动替换winload.exe文件（仅限BIOS模式）
方法一：从同版本官方ISO中提取正确winload.exe
① 挂载Windows 10安装ISO镜像（右键→“装载”）；
② 进入镜像内 sourcesinstall.wim → 用7-Zip等工具打开 → 定位到 WindowsSystem32winload.exe；
③ 将其复制出来，重命名为 winload.exe.bak 备份原文件；
④ 以管理员身份运行CMD，执行：
takeown /f C:WindowsSystem32winload.exe
icacls C:WindowsSystem32winload.exe /grant administrators:F
copy D:winload.exe C:WindowsSystem32winload.exe /y
（D:为存放新winload.exe的盘符）
方法二：使用DISM在线修复（需联网）
以管理员身份运行PowerShell，执行：
Dism /Online /Cleanup-Image /RestoreHealth
sfc /scannow
这两条命令会尝试从Windows Update下载并替换损坏的系统文件，包括winload.exe。
【注意】替换winload.exe前必须先取得文件所有权和完全控制权限，否则复制会失败且无提示。
关闭Secure Boot并禁用完整性检查（UEFI主板必做）
部分Intel NUC、Dell OptiPlex、联想ThinkStation等UEFI主板即使修改了BCD，仍会由固件层拦截未签名的winload.efi。此时必须进BIOS关掉两道关卡：
第一步：开机反复按Del/F2/F10进入BIOS设置；
第二步：找到“Security”或“Boot”选项卡 → 将 Secure Boot 设为 Disabled；
第三步：查找 “OS Mode Selection” 或 “Boot Mode” → 改为 Legacy Only 或 CSM Enabled（如支持）；
第四步：保存退出（通常是F10），重启后立即用安装U盘再次执行BCD重建。
这一步不做，后续所有软件层操作都会被固件拦截，白忙一场。
